web安全问题 cookie

1.cookies只能设置过期不能删除

<script>

now.toGMTString()  => 事件可以用来设置cookie

document.cookie("aaa=1,expires=Sun, 07 May 2017 xxxxx")

</script>

2.Cookies-登录用户凭证

用户ID

用户ID + 签名

3.xss和cookies

xss可能偷取cookies

http-only的cookie不会被偷

4.cookies和csrf关系

csrf利用用户cookie

攻击站点无法读写Cookies

最好阻止第三方使用Cookies samesite

5.cookies安全案例

cms系统

cms使用username作为唯一用户标识

cms文章作者暴露了username

可以使用任意username登录后台

某论坛使用asp bbs

使用用户ID作为用户标识

可伪造任何登录

7.cookies安全策略

签名防止篡改

私有变换(加密)

http-only (防止xss)

secure

巴特西